聊聊如何做办公网络的安全 – 作者:-吗_啡-

一说到办公网络，可能会有很多看官就会不屑一顾，这是安全该考虑的问题吗？做为安全从业者，为什么要关心IT从业者的问题？

笔者认为在安全体系中，人是最重要的资产，需要重点保护，那么人所在的办公网也应该是需要重点把控的一环；

另外，虽然生产网相对于办公网来讲更加会引起高层管理者的关心，但在他们眼里，无论是生产网，还是办公网，只要与安全沾边的，都应该是安全部门的职责，如果因为办公网的安全问题被问责，那可是大大的不妙啊；

相信我，在座各位看官向安全管理委员会述职的时候，也一定会在某时将办公网络的安全可靠列在某个阶段目标计划中；

但大多数公司的安委会可能不是很有效，公司办公网的安全还是由IT部门负责的，这样就需要看官们与IT部门建立良好的沟通关系，也就是打好关系，这样才有利于我们之后的工作开展，最终实现安全部门出指导意见，IT部门进行执行；

好像有点跑题了，那么聊回来！

如何设计呢？

知道保护什么

笔者认为是：资产（人，软件，硬件，网络，系统等），信息系统（ERP，邮箱，域控等），知识产权（发明，专利，版权，商标等），还有各式各样的数据（个人信息，财务信息，业务信息等）

确认防护的基本原则

• 边界防护–增加设备或措施，对网络边界进行防护，实现对接入及外连进行控制
• 权限控制–对主体及客体的权限进行控制，使主体根据权限只能访问其允许的客体；
• 数据保护–增加审计力度，更小颗粒的对数据的进行控制，使数据减少外泄的风险；

设计最终安全要求：

务必要求每个终端设备必须经过网络准入认证才能访问公司资源；终端可能包括PC、笔记本、智能手机、平板电脑和特定设备，如打印机或电视机等。

相应的要求：

• 边界防控，部署防火墙及相应设备；
• 网络隔离，并制定ACL，安全设备只允许安全部门的网段进行访问；
• 部署内网蜜罐，诱捕可能的攻击行为；
• 规范办公网络准入及内部系统的帐号认证，使用多因子认证进行防抵赖；
• 部署防病毒软件，防止病毒蔓延；
• 加强员工的安全意识教育，针对钓鱼，社会工程学等；
• 对办公网络进行安全扫描，并对网络流量进行分析，发现异常及时响应；

同时对用户行为进行画像，部署DLP反泄密系统用以发现内部用户泄密行为，并使用终端管理系统及上网行为管理系统，对用户行为进行画像分析，检测异常用户行为，这样将降低数据泄密的风险，从而大大提高办公网的安全；

如有BYOD（Bring Your Own Device）用户携带自己的设备到公司办公需要我们怎么做呢？简单的原则就是达到公司用机的安全要求即可；

献给狼狼，此文源于《基于量子透明计算的可信自主可控区块链式拟态安全态势感知的威胁情报联盟微信交流群》的早上狼狼聊内网建设话题有感，一气呵成，必有遗漏，敬请谅解；

感谢大家的观看，如有问题，欢迎交流；

来源：freebuf.com 2020-08-31 16:04:20 by: -吗_啡-